ваша внутренняя сеть видна во внешнем мире под единственным (или несколькими) публичными адресами, присвоенными внешнему интерфейсу вашего маршрутизатора;
хосты из вашей внутренней сети должны обращаться к хостам во внешнем мире; и
пакеты от внутренних хостов передаются во внешний мир без дополнительной инкапсуляции.
Когда НЕ надо включать MASQUERADING и Source NAT?
В тех случаях, когда пакеты публичной сети генерируются и принимаются исключительно на вашем маршрутизаторе. Тогда они сразу получают IP-адрес того интерфейса, через который отправляются. В частности:
если ваше устройство — единственное и за ним нет никаких внутренних IP-хостов (например, оно выполняет роль технологического контроллера или иного оконечного хоста);
если все пакеты от внутренних хостов передаются только внутри туннелей какого-либо типа через внешний мир с одной вашей площадки на другую. Пакеты туннелей формируются и принимаются на данном устройстве.
Когда надо использовать MASQUERADING, а когда Source NAT?
Если внешний интерфейс вашего маршрутизатора работает постоянно и имеет статический IP-адрес — то Source NAT с этим адресом.
Если внешний интерфейс работает в сеансовом режиме (подключился-отключился-переподключился и т.д.) и получает IP-адрес динамически (по DHCP, PPP и т.п.).
Можно ли вместо MASQUERADING и Source NAT всегда включать только MASQUERADING?
Можно. Но MASQUERADING заново выясняет у системы IP-адрес интерфейса каждый раз для каждого нового пакета. Если у вас интерфейс статический, то это лишняя и бесполезная работа. Процессор молотит, блок питания греется, электричество уходит впустую, глобальное потепление усугубляется... Если адрес интерфейса заведомо известен, то зачем это всё нужно? Используйте SNAT.